• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.PHP.DEFACER.B

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• If request parameter "getTools" is set and directory "/home/{username}/.cpanel" exists
  • /home/{username}/mail/{server name}/smtpfox-{random}
  • /home/{username}/mail/{server name}/smtpfox-{random}/.Archive
  • /home/{username}/mail/{server name}/smtpfox-{random}/.Drafts
  • /home/{username}/mail/{server name}/smtpfox-{random}/.Sent
  • /home/{username}/mail/{server name}/smtpfox-{random}/.spam
  • /home/{username}/mail/{server name}/smtpfox-{random}/.Trash
  • /home/{username}/mail/{server name}/smtpfox-{random}/cur
  • /home/{username}/mail/{server name}/smtpfox-{random}/new
  • /home/{username}/mail/{server name}/smtpfox-{random}/tmp

マルウェアは、以下のファイルを作成します。

• If request parameter "getTools" is set and directory "/home/{username}/.cpanel" exists
  • /home/{username}/mail/{server name}/smtpfox-{random}/dovecot-acl-list
  • /home/{username}/mail/{server name}/smtpfox-{random}/dovecot-uidlist
  • /home/{username}/mail/{server name}/smtpfox-{random}/dovecot-uidvalidity
  • /home/{username}/mail/{server name}/smtpfox-{random}/dovecot-uidvalidity.5e196afc
  • /home/{username}/mail/{server name}/smtpfox-{random}/dovecot.index.log
  • /home/{username}/mail/{server name}/smtpfox-{random}/dovecot.list.index.log
  • /home/{username}/mail/{server name}/smtpfox-{random}/dovecot.mailbox.log
  • /home/{username}/mail/{server name}/smtpfox-{random}/maildirsize
  • /home/{username}/mail/{server name}/smtpfox-{random}/subscriptions
• If request parameter "getTools" is set and directory "{document root dir}/wp-admin" exists:
  • {Document Root Directory}/wp-admin/php.ini
  • {Document Root Directory}/wp-includes/php.ini
  • {Document Root Directory}/wp-content/php.ini
  • {Document Root Directory}/wp-admin/.htaccess
  • {Document Root Directory}/wp-includes/.htaccess
  • {Document Root Directory}/wp-content/.htaccess
  • {Document Root Directory}/wp-includes/index.php
• Else If directory "{document root dir}/components" exists:
  • {Document Root Directory}/components/php.ini
  • {Document Root Directory}/administrator/php.ini
  • {Document Root Directory}/libraries/php.ini
  • {Document Root Directory}/components/.htaccess
  • {Document Root Directory}/administrator/.htaccess
  • {Document Root Directory}/libraries/.htaccess
• Else:
  • {Document Root Directory}/php.ini

他のシステム変更

マルウェアは、以下のファイルを改変します。

• It rewrites the following cPanel files' email address:
  • /home/{username}/.contactemail
  • /home/{username}/.cpanel/contactinfo
• It appends created SMTP credentials:
  • /home/{username}/etc/{server name}/shadow
  • /home/{username}/etc/shadow

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Replace cPanel email address
• Reset cPanel Password
• Download and drop tools
• Create email account

ダウンロード活動

マルウェアは、以下のURLからファイルをダウンロードします。マルウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• http://{BLOCKED}ousfox.to/files/olux-shell.txt
• http://{BLOCKED}ousfox.to/files/xleet-shell.txt
• http://{BLOCKED}ousfox.to/files/mailer.txt

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• If directory "{document root dir}/wp-admin" exists:
  • {Document Root Directory}/wp-admin/{random string}.php
  • {Document Root Directory}/wp-includes/{random string}.php
  • {Document Root Directory}/wp-content/{random string}.php
• Else If directory "{document root dir}/components" exists:
  • {Document Root Directory}/components/{random}.php
  • {Document Root Directory}/administrator/{random}.php
  • {Document Root Directory}/libraries/{random}.php
• Else:
  • {Document Root Directory}/{random string}.php
  • {Document Root Directory}/{random string}.php
  • {Document Root Directory}/{random string}.php

その他

マルウェアは、自身の不正活動を実行するために、Webサーバにホストされている必要があります。

マルウェアは、以下を実行します。

• 以下のURLにアクセスして、作成した認証情報でcPanelへのログインを試みます。
  • https://localhost:2087/login/
• 以下のURLに接続して、cPanelのパスワードリセットを試みます。
  • https://localhost:2083/resetpass
  • http://localhost:2082/resetpass
• リクエストパラメータ "email "で渡された攻撃者定義のメールアドレスを受信します。
• リクエストパラメータ "getTools "が設定されている場合、ダウンロード活動とファイル作成活動へ進みます。
• リクエストパラメータ "code "が設定されている場合、cPanelパスワードを "f0x#{ランダム}#x "に変更します。
• 設定されたリクエストパラメータに応じて、cPanelのメールアドレスを以下のいずれかに変更します。
  • {?email=リクエストパラメータの値}
  • smtpfox-{ランダム}@{サーバ名}

＜補足＞
インストール

マルウェアは、以下のフォルダを追加します。

• リクエストパラメータ"getTools"が設定されており、ディレクトリ"/home/{ユーザ名}/.cpanel "が存在する場合：
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/.Archive
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/.Drafts
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/.Sent
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/.spam
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/.Trash
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/cur
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/new
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/tmp

マルウェアは、以下のファイルを作成します。

• リクエストパラメータ"getTools"が設定されており、ディレクトリ"/home/{ユーザ名}/.cpanel "が存在する場合：
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/dovecot-acl-list
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/dovecot-uidlist
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/dovecot-uidvalidity
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/dovecot-uidvalidity.5e196afc
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/dovecot.index.log
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/dovecot.list.index.log
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/dovecot.mailbox.log
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/maildirsize
  • /home/{ユーザ名}/mail/{サーバ名}/smtpfox-{ランダム}/subscriptions
• リクエストパラメータ"getTools"が設定されており、ディレクトリ"{ドキュメントルートディレクトリ}/wp-admin"が存在する場合：
  • {ドキュメントルートディレクトリ}/wp-admin/php.ini
  • {ドキュメントルートディレクトリ}/wp-includes/php.ini
  • {ドキュメントルートディレクトリ}/wp-content/php.ini
  • {ドキュメントルートディレクトリ}/wp-admin/.htaccess
  • {ドキュメントルートディレクトリ}/wp-includes/.htaccess
  • {ドキュメントルートディレクトリ}/wp-content/.htaccess
  • {ドキュメントルートディレクトリ}/wp-includes/index.php
• 上記の条件を満たさず、ディレクトリ"{ドキュメントルートディレクトリ}/components" が存在する場合：
  • {ドキュメントルートディレクトリ}/components/php.ini
  • {ドキュメントルートディレクトリ}/administrator/php.ini
  • {ドキュメントルートディレクトリ}/libraries/php.ini
  • {ドキュメントルートディレクトリ}/components/.htaccess
  • {ドキュメントルートディレクトリ}/administrator/.htaccess
  • {ドキュメントルートディレクトリ}/libraries/.htaccess
• 上記の条件いずれも満たさない場合：
  • {ドキュメントルートディレクトリ}/php.ini

他のシステム変更

マルウェアは、以下のファイルを改変します。

• 以下のcPanelファイルのメールアドレスを書き換えます。
  • /home/{ユーザ名}/.contactemail
  • /home/{ユーザ名}/.cpanel/contactinfo
• 作成したSMTP認証情報を付加します。
  • /home/{ユーザ名}/etc/{サーバ名}/shadow
  • /home/{ユーザ名}/etc/shadow

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• cPanelのメールアドレスの置き換え
• cPanelパスワードのリセット
• ツールのダウンロードと作成
• メールアカウントの作成

ダウンロード活動

マルウェアは、以下のURLからファイルをダウンロードします。マルウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• http://{BLOCKED}ousfox.to/files/olux-shell.txt
• http://{BLOCKED}ousfox.to/files/xleet-shell.txt
• http://{BLOCKED}ousfox.to/files/mailer.txt

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• ディレクトリ"{ドキュメントルートディレクトリ}/wp-admin" が存在する場合：
  • {ドキュメントルートディレクトリ}/wp-admin/{ランダムな文字列}.php
  • {ドキュメントルートディレクトリ}/wp-includes/{ランダムな文字列}.php
  • {ドキュメントルートディレクトリ}/wp-content/{ランダムな文字列}.php
• 上記の条件を満たさず、ディレクトリ "{ドキュメントルートディレクトリ}/components" が存在する場合:
  • {ドキュメントルートディレクトリ}/components/{ランダム}.php
  • {ドキュメントルートディレクトリ}/administrator/{ランダム}.php
  • {ドキュメントルートディレクトリ}/libraries/{ランダム}.php
• 上記のいずれの条件も満たさない場合：
  • {ドキュメントルートディレクトリ}/{ランダムな文字列}.php
  • {ドキュメントルートディレクトリ}/{ランダムな文字列}.php
  • {ドキュメントルートディレクトリ}/{ランダムな文字列}.php

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください